Практика 8
.docxМИНОБРНАУКИ РОССИИ
Санкт-Петербургский государственный
электротехнический университет
«ЛЭТИ» им. В.И. Ульянова (Ленина)
Кафедра Информационной безопасности
отчет №8
по «Основы информационной безопасности» практике
Тема: Разработка и оценка вариантов СЗИ соответственно профилю риска
Студент гр. 1363 |
|
Владимиров П.А. |
Руководитель |
|
Воробьев Е. Г. |
Санкт-Петербург
2022
ЦЕЛЬ РАБОТЫ
Провести разработку списка контрмер, дать дополнительные рекомендации по проекту защиты.
ОСНОВНЫЕ РИСКИ ПРЕДПРИЯТИЯ
Угрозами для рассматриваемого предприятия являются из практической №6:
Плохо протестированные изменения кода, затрагиваемые данные в БД;
Несанкционированный доступ;
Сбой программного обеспечения;
Не установленные своевременно обновления и заплатки.
И наиболее опасным, и вероятным в реализации является риск плохо протестированного изменения кода, затрагиваемые данные в БД.
МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ И ЦЕНА ВНЕДРЕНИЯ
Уровень защищённости персональных данных предприятия имеет класс К1.
Таблица 1
Условное обозначение и номер меры |
Содержание мер по обеспечению безопасности персональных данных |
Наименование средства
|
Цена, руб. |
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) |
|||
ИАФ.1 |
Идентификация и аутентификация пользователей, являющихся работниками оператора |
Подсистема управления пользователями СЗИ «McAfee» |
50 000 |
ИАФ.4 |
Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации |
Подсистема управления пользователями СЗИ НСД «McAfee» |
50 000 |
ИАФ.5 |
Защита обратной связи при вводе аутентификационной информации |
Подсистема управления пользователями СЗИ НСД «McAfee» |
50 000 |
ИАФ.6 |
Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей) |
Веб-портал SharePoint Server |
0 |
II. Управление доступом субъектов доступа к объектам доступа (УПД) |
|||
УПД.1 |
Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей |
СЗИ НСД «McAfee» |
50 000 |
УПД.2 |
Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа |
Diamond ACS |
40 000 |
УПД.3 |
Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами |
Diamond ACS |
40 000 |
УПД.6 |
Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе) |
Программа-фильтр «AVPMonitor» |
20 000 |
УПД.11 |
Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации |
СЗИ «McAfee» |
50 000 |
III. Ограничение программной среды (ОПС) |
|||
ОПС.3 |
Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов |
Программа-полифаг «Лаборатория Касперского». |
2000 |
V. Регистрация событий безопасности (РСБ) |
|||
РСБ.1 |
Определение событий безопасности, подлежащих регистрации, и сроков их хранения |
СЗИ «McAfee» |
50 000 |
РСБ.5 |
Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них |
СЗИ «McAfee» |
50 000 |
РСБ.7 |
Защита информации о событиях безопасности |
СЗИ «McAfee» |
50 000 |
VI. Антивирусная защита (АВЗ) |
|||
АВЗ.1 |
Реализация антивирусной защиты |
Программа-полифаг «Лаборатория Касперского» |
2000 |
АВЗ.2 |
Обновление базы данных признаков вредоносных компьютерных программ (вирусов) |
Программа-полифаг «Лаборатория Касперского» |
2000 |
VII. Обнаружение вторжений (СОВ) |
|||
СОВ.1 |
Обнаружение вторжений |
Программа-монитор «Monitor» |
0 |
VIII. Контроль (анализ) защищенности персональных данных (АНЗ) |
|||
АНЗ.1 |
Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей |
Программа-фильтр «AVPMonitor» |
20 000 |
АНЗ.2 |
Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации |
Программа-монитор «Monitor» Организационные меры |
0 |
АНЗ.5 |
Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе |
Программа-фильтр «AVPMonitor» |
20 000 |
XII. Защита технических средств (ЗТС) |
|||
ЗТС.3 |
Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены |
Организационные меры |
0 |
XIII. Защита информационной системы, ее средств, систем связи и передачи данных (3ИС) |
|||
ЗИС.3 |
Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи |
Программа-фильтр «AVPMonitor» |
20 000 |
XIV. Выявление инцидентов и реагирование на них (ИНЦ) |
|||
ИНЦ.1 |
Определение лиц, ответственных за выявление инцидентов и реагирование на них |
Организационные меры |
0 |
ИНЦ.2 |
Обнаружение, идентификация и регистрация инцидентов |
Организационные меры |
0 |
ИНЦ.4 |
Анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий |
Опытный аналитик |
200 000 |
ИНЦ.5 |
Принятие мер по устранению последствий инцидентов |
Повышение квалификации IT специалистов |
10 000 |
ИНЦ.6 |
Планирование и принятие мер по предотвращению повторного возникновения инцидентов |
Повышение квалификации IT специалистов |
10 000 |
XV. Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ) |
|||
УКФ.1 |
Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных |
Организационные меры |
0 |
Стоимость средств по обеспечению безопасности персональных данных указана в таблице 2.
Таблица 2
Наименование средства |
Количество |
Стоимость одного элемента |
Общая стоимость |
|
СЗИ «McAfee» |
20 |
50 000 |
1 000 000 |
|
Веб-портал SharePoint Server |
1 |
0 |
0 |
|
Diamond ACS |
1 |
40 000 |
40 000 |
|
Программа-фильтр «AVPMonitor» |
1 |
20 000 |
20 000 |
|
Программа-полифаг «Лаборатория Касперского» |
106 |
2 000 |
212 000 |
|
Программа-монитор «Monitor» |
1 |
0 |
0 |
|
Повышение квалификации IT специалистов |
50 |
10 000 |
500 000 |
|
VPN Express VPN |
106 |
2000 |
212000 |
|
Итого |
1 984 000 |
ВЫВОДЫ
Можно уменьшить риски компании, благодаря внедрению комплекса мер. Цена составит 1 984 000, включая сопровождение.